Tháng 3 năm 2016, FCC phạt Verizon 1,35 triệu USD vì theo dõi khách hàng bằng tiêu đề nhận dạng duy nhất (UIDH), còn gọi là "supercookie". Tin lớn khi FCC buộc Verizon cho phép khách hàng chọn không tham gia theo dõi. Nhưng supercookie là gì? Tại sao supercookie tệ hơn cookie thường?
Đây là những gì bạn cần biết về supercookie – và cách xóa chúng.
Cookie Là Gì?
Để hiểu supercookie, bạn cần hiểu cookie thường là gì. Cookie HTTP, thường gọi là cookie, là một mảnh mã nhỏ được tải xuống trình duyệt người dùng khi họ truy cập trang web. Cookie lưu trữ các mảnh thông tin nhỏ hữu ích cho trang web, người dùng, và tương tác giữa hai bên.
Ví dụ, khi bạn bỏ hàng vào giỏ mua hàng Amazon, các mặt hàng đó lưu trong cookie. Nếu bạn rời Amazon, khi quay lại, hàng vẫn ở giỏ. Cookie gửi thông tin đó trở lại Amazon khi bạn quay lại trang.
Cookie thường phục vụ chức năng khác nữa, như báo cho trang web biết bạn đã đăng nhập, nên không phải đăng nhập lại khi quay lại. Đáng tranh cãi hơn, cookie theo dõi thứ ba (third-party tracking cookies) theo dõi bạn khắp internet, báo cáo cho công ty marketing và các công ty khác về việc bạn đang làm gì trực tuyến.
Supercookie Là Gì?
Supercookie là một cookie theo dõi nhưng có mục đích hiểm họa hơn. Supercookie cũng có chức năng khác với cookie thường.
Với cookie thường, nếu bạn không muốn nó theo dõi bạn khắp internet, bạn có thể xóa dữ liệu duyệt web, cookie, và hơn thế nữa. Bạn có thể chặn cookie và cookie thứ ba từ trình duyệt, và tự động xóa cookie sau khi kết thúc phiên trình duyệt. Bạn phải đăng nhập lại mỗi trang, và hàng giỏ mua hàng không lưu, nhưng cũng có nghĩa là cookie theo dõi không còn theo dõi bạn nữa.
Supercookie khác. Xóa dữ liệu duyệt web không giúp ích. Vì supercookie không thực sự là cookie; nó không lưu trong trình duyệt của bạn.
Thay vào đó, ISP chèn một mảnh thông tin duy nhất cho kết nối của người dùng vào tiêu đề HTTP (HTTP header). Thông tin đó nhận dạng duy nhất bất kỳ thiết bị nào. Trong trường hợp Verizon, nó cho phép theo dõi mọi trang web được truy cập.
Vì ISP chèn supercookie giữa thiết bị và máy chủ nó kết nối, không có gì người dùng làm được. Bạn không thể xóa nó, vì nó không lưu trên thiết bị. Phần mềm chặn quảng cáo và script không thể ngăn chặn nó, vì nó xảy ra sau khi yêu cầu rời khỏi thiết bị.
Nguy Hiểm Của Supercookie
Tiềm năng vi phạm quyền riêng tư ở đây hiển而易见 — trong hầu hết trường hợp, cookie gắn với một trang web đơn lẻ, và không thể chia sẻ với trang khác. UIDH có thể bị tiết lộ cho bất kỳ trang web nào và chứa lượng thông tin khổng lồ về thói quen và lịch sử người dùng. Verizon quảng cáo khả năng này cho đối tác của mình. Rất có thể việc sử dụng supercookie cụ thể này nhằm thu thập nhiều dữ liệu để bán.
Quý hội Tiền phong Điện tử (EFF) cũng lưu ý supercookie có thể được nhà quảng cáo dùng để "hồi sinh" cookie đã xóa từ thiết bị người dùng và liên kết chúng với cookie mới,规避用户可能采取的防止跟踪策略:
[G]iả sử một mạng quảng cáo gán cho bạn cookie với giá trị duy nhất "cookie1", và Verizon gán cho bạn tiêu đề X-UIDH "old_uid". Khi Verizon thay đổi tiêu đề X-UIDH của bạn thành giá trị mới, ví dụ "new_uid", mạng quảng cáo có thể kết nối "new_uid" và "old_uid" với cùng giá trị cookie "cookie1" và thấy cả ba giá trị đại diện cho cùng một người. Tương tự, nếu bạn sau đó xóa cookie, mạng quảng cáo sẽ gán giá trị cookie mới "cookie2". Vì giá trị X-UIDH của bạn giống nhau (ví dụ "new_uid") trước và sau khi xóa cookie, mạng quảng cáo có thể kết nối "cookie1" và "cookie2" với cùng giá trị X-UIDH "new_uid". Việc bootstrapping nhận dạng lặp lại ngược nhau khiến không thể thực sự xóa lịch sử theo dõi trong khi tiêu đề X-UIDH được bật.
Trong cùng bài đăng blog, EFF cũng lưu ý UIDH cũng có thể áp dụng cho dữ liệu gửi từ ứng dụng, không dễ theo dõi bằng cách khác. Sự kết hợp cho phép tạo ra bức tranh chi tiết về việc sử dụng internet của người dùng. Verizon cũng bỏ qua cài đặt "Giới hạn theo dõi quảng cáo" (Limit ad tracking) trên iOS và Android. Việc lách luật này làm tăng thêm vi phạm quyền riêng tư tiềm ẩn mà supercookie gây ra.
Supercookie Gửi Dữ Liệu Gì?
Supercookie bao gồm thông tin về yêu cầu do người dùng thực hiện, như trang web họ đang cố truy cập và thời điểm yêu cầu được thực hiện. Điều này gọi là siêu dữ liệu (metadata) (rất tương tự siêu dữ liệu NSA thu thập từ hồ sơ điện thoại di động). Nhưng supercookie có thể bao gồm loại dữ liệu khác nữa.
Bất kể loại dữ liệu chính xác, nếu Verizon bị vi phạm dữ liệu và cookie này gắn với người dùng cụ thể, nó sẽ thành cơn ác mộng quyền riêng tư. EFF đã phát hiện số điện thoại đã băm (hashed phone numbers) được dùng làm định danh người dùng, dấu hiệu đáng lo ngại. Tin tặc, công ty khác, hoặc tổ chức chính phủ sẽ rất muốn nắm được loại thông tin này.
Thực tế Verizon là một trong các công ty tham gia chương trình PRISM của NSA chỉ làm mọi thứ thêm đáng lo ngại.
Zombie Cookie Là Gì?
Zombie cookie là loại supercookie khác. Như tên gợi ý, bạn không thể "giết chết" zombie cookie. Và khi bạn nghĩ đã tiêu diệt nó, zombie cookie có thể "hồi sinh".
Zombie cookie vẫn nguyên vẹn vì nó ẩn ngoài kho lưu trữ cookie thường của trình duyệt. Zombie cookie nhắm vào local storage, HTML5 storage, giá trị mã màu RGB, Silverlight storage, và hơn thế nữa. Đó là lý do chúng gọi là zombie cookie. Nhà quảng cáo chỉ cần tìm thấy cookie hiện có trong một trong những vị trí lưu trữ đó để "hồi sinh" phần còn lại. Nếu người dùng không xóa được một zombie cookie từ bất kỳ vị trí lưu trữ nào, họ quay về trạng thái ban đầu.
Cách Xóa Supercookie
Supercookie lưu nhiều thông tin về bạn. Một số có thể hồi sinh cookie thường đã xóa, và một số không lưu trên thiết bị. Làm sao đối phó với chúng?
Thật không may, câu trả lời cho một số loại supercookie là "không thể làm gì nhiều".
Verizon cho phép thuê bao chọn không tham gia theo dõi UIDH. Nếu bạn dùng Verizon, truy cập www.vzw.com/myprivacy, đăng nhập tài khoản, vào phần Quảng cáo Di động Liên quan (Relevant Mobile Advertising). Chọn "Không, tôi không muốn tham gia Quản cáo Di động Liên quan." Lưu ý: chọn không tham gia không thực sự vô hiệu hóa tiêu đề. Nó chỉ bảo Verizon không chia sẻ thông tin nhân khẩu học chi tiết với nhà quảng cáo tìm giá trị UIDH. Hơn nữa, nếu bạn tham gia chương trình Verizon Selects, UIDH vẫn hoạt động ngay cả sau khi chọn không tham gia.
Nếu ISP quyết định dùng supercookie cấp UIDH để theo dõi bạn, bạn cơ bản là "hết cách". Nếu ai đó theo dõi bạn bằng supercookie, lựa chọn tốt nhất là dùng VPN để tạo kết nối mã hóa giữa bạn và phần còn lại của internet. HTTPS gần như là tiêu chuẩn thực tế cho duyệt web, cũng bảo vệ lưu lượng internet của bạn khỏi kẻ nghe lén. Khi có thể, luôn dùng HTTPS thay vì kết nối HTTP cơ bản.
Ngoài ra, xem phần Công Cụ Bảo Mật Trình Duyệt Tốt Nhất trong hướng dẫn MakeUseOf về ứng dụng bảo mật và antivirus tốt nhất.
Theo Dõi Trực Tuyến Nguy Hiểm
UIDH là mối đe dọa nghiêm trọng cho quyền riêng tư internet. Chúng không lưu trên máy tính của bạn, có thể nhận dạng duy nhất lưu lượng web của bạn, và cực khó phát hiện. Dùng HTTPS và VPN giúp ích, nhưng những gì người dùng internet cần là luật pháp mạnh mẽ yêu cầu ISP cho phép chúng ta chọn không tham gia các chương trình theo dõi như vậy, nếu không phải dừng hoàn toàn các chương trình theo dõi xâm phạm, nguy hiểm. Lập pháp viên tại bang Maine, Mỹ gần đây đã thông qua dự luật ngăn cản ISP bán dữ liệu internet riêng tư cho nhà quảng cáo.
Lo ngại về theo dõi Facebook? Đây là cách bạn ngăn Facebook theo dõi chuyển động trực tuyến của mình.